Symbiosis的比特幣跨鏈橋近日遭到利用。項目方發布事後分析稱，攻擊者僅使用330聪（約0.25美元的比特幣存款），就在約4分鐘內發起了12筆偽造存款，鑄造出約461億枚沒有實際資產支持的syBTC。
兩處漏洞疊加放大攻擊
根據項目方的說明，問題來自於兩處軟體缺陷。第一處漏洞出現在比特幣交易發送方的識別環節。橋接系統讀取了錯誤的交易字段，導致攻擊者被系統誤判為已獲授權的存款人，同時還取得了橋接管理員的權限。
在獲得更高權限後，攻擊者又利用第二處漏洞，將橋接的最低手續費調成負數。系統隨後將這筆負手續費從存款金額中「扣除」，結果反而讓金額增大，使攻擊者能夠憑空輸入極大的鑄幣數值。
偽造規模遠超比特幣上限
鏈上數據顯示，這12筆偽造存款分佈在BNB Chain、以太坊和Rootstock上。最終生成的syBTC總量約為461億枚，超過比特幣2100萬枚理論上限的2000倍以上。
不過，偽造出來的 syBTC 并不等於同等規模的真正損失。原因在於，這類跨鏈橋代幣只有在背後有真正資產時才能兌付。攻擊者雖然能大量鑄造無抵押代幣，但真正能套走的價值，仍受限制於另一側池子裡實際存在的比特幣相關流動性。
初步損失為 9.97 枚 BTC
項目方稱，在攻擊發生之前，syBTC的總供應量僅為13.91枚，其中11.26枚分佈在與WBTC、cbBTC、BTCB和RBTC配對的流動性池中。Symbiosis目前將流動性提供者及受影響用戶的初步損失估計為9.97枚BTC，按照報導發布時附近的價格計算，約合77萬美元。
項目方表示，將使用攻擊期間轉移出的一部分比特幣，以及單獨的補償安排，來彌補被盜資金。其原生比特幣跨鏈橋已暫時下線，項目正在重寫比特幣側軟件，並委託獨立機構進行審計，同時也啟動了更廣範的系統審查。
強制要求： 1. 只輸出翻譯後的內容，不要輸出 JSON、不要輸出 Markdown 代碼塊。 2. 不要解釋、不要總結、不要補充原文不存在的資訊。 3. 不要省略任何內容，必須完整翻譯全部輸入。 4. 如果輸入包含 HTML，只翻譯標簽之間的可见文本，不要翻譯、刪除、改寫或轉義任何 HTML 標簽和屬性。 5. HTML 標簽名、屬性名、屬性值、引號、空格、標簽順序必須保持不變。 6. img、br、hr、input 等無可見文本的標簽必須原樣保留。 7. 保留數字、貨幣符號、交易對、URL、Markdown 格式。 8. 保留形如 __BJWKEEP_00001__ 的佔位符，必須逐字原樣輸出。 9. 佔位符不能翻譯、刪除、拆分、移動、改變大小寫、改變下劃線或改變編號。 10. 佔位符是系統保護標記，不屬於自然語言。必須逐字符複製，包括所有下劃線和數字。輸出前請檢查每個佔位符是否與輸入完全一致。 11. 佔位符不是人名，不要把佔位符改寫成任何目標語言的人名、機構名或其他詞。 12. 不要輸出 User、Assistant、System 等角色名或對話前綴。根據 DefiLlama 的數據，Symbiosis 目前的總鎖倉價值約為 800 萬美元，過去 30 個已完成自然日的跨鏈交易量約為 1.46 億美元。
